细节决定生死 设计缺陷造成的空难教训

因为对金属疲劳的认识不足，“彗星”虽然是第一款商用喷气客机，但最终以失败告终。

飞机发生空难可谓“天灾”，究其原因却大多是由于“人祸”。其中除了对飞机的操作和维护不当外，在设计源头中出现纰漏也占据了不可忽视的比重。尤其是进入喷气时代后，民用客机的性能不断得到提升，同时也变得愈发精密和复杂，设计方案和技术规范上稍有缺陷都很可能酿成机毁人亡的惨剧。早在波音737MAX出事之前，航空史上已经留下了诸多前车之鉴。

疲劳让“彗星”陨落

70年前，一颗航空界的明星冉冉升起——英国德· 哈维兰公司研制的“彗星”(Comet)于1949年7月27日首飞成功，并在3年后投入远程航线的运营，成为世界上第一种以喷气式发动机为动力的商用客机，从此开启了空中运输的新时代。“彗星”客机不仅采用了喷气动力和后掠式机翼这样的最新技术，还拥有增压座舱，在高空中的飞行性能和乘坐舒适性都是最能吸引航空公司和乘客的卖点。

可惜英国人的自豪感并没能维持太久。1953年3月3日，加拿大太平洋航空公司的一架“彗星”从巴基斯坦卡拉奇机场起飞时，因飞行员操作失误撞毁在跑道末端，造成机上11人全部遇难。这是喷气式客机的第一次致命事故，而更大的打击又接踵而至。5月2日，英国海外航空公司的一架“彗星”在印度加尔各答遭遇雷暴失事，机上43人无一幸存。1954年1月10日，英国海外航空公司的另一架“彗星”在地中海上空突然解体，连同29名乘客和6名机组人员坠入意大利厄尔巴岛附近的海中。仅过了3个月，同样的惨剧再度发生。4月8日，南非航空公司一架载有21人的“彗星”也在飞行途中一头栽进那不勒斯附近海域。由于这两起连续事故都是事发突然且毫无征兆，引起各界的广泛关注，英国政府不得不下令停飞所有“彗星”客机，并由英国皇家航空研究院牵头，展开全面调查，寻找事故真相。

英国海军出动舰队，在失事海域一带搜寻打捞飞机残骸和遇难者遗体。调查当中发现，遇难者的肺部都有明显的伤痕，很有可能是在高空中机舱发生破损，舱内气压突然减小，导致人体肺部气体急剧膨胀，才使得肺部爆裂。那么机舱失压到底是人为破坏还是结构失效造成的？最初的破损部位又在哪里？调查人员一方面对搜集到的飞机残骸进行细致检查，另一方面也着手用实物测试。他们建造了一座大型水槽，放入一架拆掉发动机和内饰的“彗星”机身，反复注水排水，模拟在飞行过程中飞机受到的压力变化。当这项测试不间断地持续到相当于3 000个飞行架次时，问题终于暴露了：机身铝制蒙皮上沿着舷窗和舱门处出现了长长的裂纹。这就是金属疲劳——在周期性变化的应力作用下，金属材料逐渐产生局部永久性累积损伤，经过一定循环次数后产生裂纹或突然发生完全断裂的现象。

德·哈维兰公司的工程师曾对“彗星”的结构和蒙皮材料进行过强度测试，结论是应该可以满足飞行1万架次或是10年时间的要求。然而他们没有考虑到的是，飞机在实际飞行中要不断经历颠簸振动、加压减压和温度变化等，其环境条件要比测试时恶劣得多。尤其是“彗星”安装了大块的方形舷窗，近乎垂直过度的边角处会形成应力集中，受力程度远超其它部位。再加上要打入铆钉固定，孔洞处容易出现细微损伤，对应力变化更为敏感，结果就会在远低于材料强度极限的情况下发生不可逆转的破坏。后来对飞机残骸的进一步检查中，也在舷窗和舱门部位发现了裂痕，最终印证了飞机失事的原因。

在当时，一是对金属疲劳的认识还不够深入，二是缺乏能检查出细微裂纹的手段，使得“彗星”在设计之初就埋下了隐患，到使用阶段又没能及时发现问题，导致空难接连发生。尽管德·哈维兰公司痛定思痛，强化飞机结构设计，推出了改进型号，但“彗星”的光芒还是因此暗淡下来，风头被波音707这样的后起之秀夺去。订单锐减之下，德·哈维兰公司陷入经营困境，落得在1960年被收购。

开门不吉反遭灾

正如“彗星”事故所揭示的那样，增压机舱一旦出现突然性破损，就会像发生爆炸那样后果不堪设想。现代客机已经采取了各种措施来防止此类事故，比如舷窗改用圆形或椭圆形结构以减小应力集中，提高维护标准，采用高精度设备来查找可能的结构损伤等，但设计上的不完善仍会付出高昂的代价。

1972年6月12日，美国航空公司的一架麦克唐纳·道格拉斯DC-10宽体客机在3 500米高度飞行时，后部货舱门突然打开，引发机舱内部失压并损坏了部分控制系统。所幸飞机迫降成功，没有人员伤亡。三发布局的DC-10是1970年才面世的新机型，其货舱门设计成向外打开，这样就不会占用内部的装货空间。而在机舱加压的情况下，舱门要顶得住向外的压力，锁定装置就得足够可靠。美国国家运输安全委员会对此次事故的调查发现，货舱门关闭后即使没有完全锁紧到位，指示灯也会提示舱门已经关好。然而麦道公司并没有予以重视，认为再次出事的可能性极小，只是采取了简单的修补措施，以至于这个设计隐患后来发展成灾难。

1974年3月3日，土耳其航空公司的981号航班由巴黎飞往伦敦。起飞后不久，这架出厂仅2年的DC-10客机就坠毁在一处森林内，机上满载的346人全部罹难。这是截至当时航空史上死亡人数最多的一起空难，震惊了全世界。调查结果显示，该机的尾部货舱门没有完全锁紧，在半空中爆开脱落后造成内部急剧失压，引起连锁反应——客舱地板塌陷，损坏了下方的液压管线，导致飞机失去控制。这起悲剧严重削弱了外界对DC-10的信心，即使麦道公司事后亡羊补牢，彻底修改了货舱门的锁定设计，并加固客舱地板，增加透气孔以保持客货舱之间的气压平衡，使之再没有发生过同类事故，但仍不可避免地影响到DC-10的销量，如今只有少量货运型还在使用。

无独有偶，波音公司巨无霸级的747客机也差点在舱门设计环节栽了大跟头。1989年2月24日，美国联合航空公司的一架747由夏威夷的檀香山飞往新西兰的奥克兰。当这架大型四发客机上升到7 000米高度时，右前侧货舱门猛然弹开，同时撕裂了部分机身蒙皮。这样的爆炸性失压还产生了大量飞散的碎片，对右侧的机翼和两台发动机都造成损伤。万幸的是，机组人员处置得当，驾驶带着破洞的飞机安全返回檀香山，机上355人中只有9名乘客被吸出客舱葬身大海。

波音747的货舱门同样是向外开启的，为此设计了多重锁紧系统，但此前就发生过舱门松动导致飞机被迫返航的事件。美国国家运输安全委员会最初的调查认为，是地勤人员操作不到位，未能将舱门锁紧，但遇难者家属质疑是锁紧系统的设计有问题。后来打捞到舱门的残骸，经过进一步核查，才确认是舱门的电动控制装置存在缺陷。当舱门关闭上锁时，内部电路并未完全断开，会让原本起到卡紧作用的固定机构退回原位，在舱内加压后就容易推动舱门松脱。结论公布后，波音公司重新设计了747的货舱门锁紧系统，避免更严重的事故发生。国家运输安全委员会还建议各飞机制造商无论是采用外开还是内开舱门，都要确保飞行当中在压力变化下不会意外开启。

疲劳试验后，“彗星”的方形舷窗出现了长长的断裂带。

坠毁的土耳其航空公司的981号航班。

方向舵连环疑案

自面世半个世纪以来，波音737以其安全高效成为史上最畅销的喷气式客机，但设计上隐藏着的毛病也曾带来连串事故。1991年3月3日，美国联合航空公司的585号航班飞抵科罗拉多斯普林斯机场。就在降落阶段，这架737双发客机突然向右翻滚并失速坠地，机上25人全部丧生。调查人员展开搜证分析，逐一排除了天气影响、操作失误和人为破坏等因素，对包括方向舵在内的控制部件进行的检验也显示正常，使得事故调查一直悬而未决。同样的疑案在3年后再次上演。1994年9月8日，全美航空公司的427号航班也在准备降落时突然失控，近乎垂直地俯冲而下，坠毁在宾夕法尼亚州匹兹堡国际机场附近，死亡人数达到132人。调查发现，这次的737失事与之前的联合航空585号航班非常相似，都是方向突然偏转后无法恢复控制，只是427航班是向左翻滚后坠落的。调查人员怀疑是方向舵被卡死，但反复测试方向舵的控制系统都没有出现异常，这让调查再度陷入僵局。

直到1996年6月9日发生了第三次事故，才找到了突破口。当晚，美国东风航空公司的517号航班在降落时两次遭遇不受控的偏转。奇迹的是这架737还来得及自行恢复，得以安全着陆。这下调查人员获得了完整的人证和物证，重点对方向舵内的液压动力控制单元进行全面检验。结果证实，当中的液压伺服阀在经历极端的温差变化后会发生堵塞卡死却不会留下痕迹，而且当飞行员试图通过方向舵踏板修正时，方向舵会朝相反的方向偏转，反而加速了飞机的失控。历时多年，事故真相这才水落石出。波音公司不得不花费巨资修改737客机的方向舵设计，并为尚在使用当中的飞机更换相关部件，以排除隐患。

驾驶舱内的“手滑”

虽说现代客机的自动化程度在不断提高，但驾驶舱内密布的各种仪表、开关、手柄仍不能让人省心。如果驾驶舱的人机界面设计不尽合理，就有可能诱发机组人员判断出错和操作失误。比如重要仪表安排不当，或是故障提示不明确，会让飞行员难以准确掌握飞机状况，也就不能做出正确的应对。要是操纵系统的设置有缺陷的话，更会让人忙中出错，从而影响飞行安全。

1990年，麦道公司在DC-10的基础上推出了更先进的MD-11客机。外形虽然看起来变化不大，但MD-11采用了以彩色显示屏为主的“玻璃座舱”，辅之以电脑化的飞行管理系统，只需双人机组即可全程操作，只是这样的改进并非万无一失。1993年4月6日，中国东方航空公司的一架MD-11客机由上海飞往洛杉矶。当飞抵美国阿拉斯加州的阿留申群岛附近海面上空时，这架飞机突然发生多次剧烈的俯仰颠簸，机上的255人犹如经历了天翻地覆，许多舱内设施也被撞坏。所幸飞机没有严重受损，飞行员恢复控制后紧急备降在美国塞米奇岛上的谢米亚空军基地。这次空中意外失控共造成两名乘客死亡，重伤60人，轻伤96人。事故原因却是来自一处看似不起眼的“瑕疵”：MD-11驾驶舱内襟翼/缝翼控制手柄的设计不够周全，飞行员在操作电脑系统时的无意触碰使得手柄移位，导致原本是在起降时才用到的前缘缝翼意外放出，才突然改变了正常的飞行状态。这一设计缺陷后来得到纠正，也警示了在飞行控制中防差错设计的重要性。

逃过一劫的美国东风航空公司的517号航班，飞机编号N221US。

容易混淆的接口

飞机上不仅是驾驶舱内的操控系统不容出错，由地勤人员负责检查维护的部位也不能马虎，稍有疏忽就可能带来致命后果。1994年6月6日，中国西北航空公司的一架图-154M型客机从西安飞往广州。由咸阳机场刚升空不久，飞行员就报告飞机发生飘摆，姿态保持不住，还发出异常声响。机组人员曾采取短时接通自动驾驶仪等措施，但都无法稳住飞机。随后该机陷入失速滚转，掉落到2 800多米的高度时发生解体，从起飞到坠毁仅过了10分钟。机上中外乘客146人和机组14人全部遇难，这也是迄今在中国大陆境内死亡人数最多的一起空难。

这起惨烈的飞行安全事故影响重大，引起了民航管理局和有关部门的高度重视。经过周密调查，发现在此次航班执飞前的例行检修中，地面机务人员在更换一个设备安装架时，将倾斜阻尼插头和航向阻尼插头互相插错，而且在通电检查中也没有故障提示。结果在飞机起飞后，阻尼陀螺感受到的倾斜角速度信号传给了方向舵舵机，相反将感受到的偏航角速度信号传给了副翼舵机，造成飞机对飞行员的操纵反应异常，飞行员也难以正确控制飞机，最终导致飞机失控坠落。

显然，机务人员的维修疏失和飞行员的应急能力不足是造成这次空难的直接原因，但飞机在设计上存在安全漏洞却是根本。出自图波列夫设计局之手的图-154是前苏联第一种按西方标准设计的客机，和波音727类似，采用在机尾安装三台发动机的布局，1972年开始用于航班运营，1982年又推出改进型图-154M，中国的民航公司曾陆续引进过30架。虽说图-154M的综合性能并不算差，但设计细节上缺乏足够的严谨。两个功能不同的接口既靠得很近，又无明显的区别标志，接错后也不能自检出来。这真应了航空界由来已久的“墨菲定律”——只要存在出错的可能性，如果不断重复去做，错误就一定会发生，而且不管可能性有多么小，它总会发生，并会造成最大程度的损失。

在这起事故调查结束后，中国民航管理部门不仅加强了对机务维护工作的规范管理，以及对飞行人员的技能培训，还将图-154M暴露的设计缺陷通报给飞机制造厂商，并要求在引进新机型时，都要按照国际通用适航标准，严格进行型号合格审定工作。由于技术上逐渐落后，经济性和安全性下降，中国民航所用的图-154M已经于2002年全数退役。

随着民用航空的快速发展，现代客机在追求高性能和高效率的同时，对安全性的要求仍不可松懈。在设计阶段既要吸取经验教训，更要有超前的预见性，才能防微杜渐，在每一个细节上切实保障飞行安全。

俄罗斯的图-154M设计过于粗糙，目前除了在极少数国家运营外，基本退出了民航领域。

来源：TOPLEAGUE